Boletín de seguridad de Microsoft MS09-035 - Moderada

¿Por qué se ha vuelto a publicar este boletín el 12 de enero de 2010?
Microsoft ha vuelto a publicar este boletín para agregar Windows Embedded CE 6.0 al software afectado. La actualización de Windows Embedded CE 6.0 (KB974616) es una actualización acumulativa que sólo está disponible en el Centro de descarga de Microsoft. Los clientes que usan la plataforma Windows Embedded CE 6.0 deben considerar la posibilidad de aplicar la actualización acumulativa. Ningún otro paquete de actualización está afectado por esta nueva publicación.

¿Por qué se ha revisado este boletín el 8 de septiembre de 2009?  
Este boletín se ha revisado para comunicar que la sección Problemas conocidos de esta actualización de seguridad del artículo 969706 de Microsoft Knowledge Base asociado se ha revisado para cambiar el número del problema conocido KB974223 a KB974479, con el fin de ofrecer una actualización no relacionada con la seguridad para corregir el problema. Los usuarios de Microsoft Visual Studio 2008 Service Pack 1 que no han instalado la actualización de seguridad descrita en este boletín recibirán automáticamente la actualización de seguridad y la actualización no relacionada con la seguridad a través de Microsoft Update. A los usuarios de Microsoft Visual Studio 2008 Service Pack 1 que ya han instalado la actualización de seguridad se les ofrecerá automáticamente la actualización no relacionada con la seguridad a través de Windows Update. Los usuarios de Microsoft Visual Studio 2008 Service Pack 1 que ya han instalado la actualización de seguridad no tienen que volver a instalarla y sólo deben instalar la actualización no relacionada con la seguridad si tienen los problemas que se describen en KB974479.

¿Por qué se ha vuelto a publicar este boletín el 11 de agosto de 2009?
Microsoft ha vuelto a publicar este boletín para ofrecer nuevas actualizaciones para las siguientes plataformas:

• Microsoft Visual Studio 2005 Service Pack 1 (KB973673)
• Microsoft Visual Studio 2008 (KB973674)
• Microsoft Visual Studio 2008 Service Pack 1 (KB973675)

Las nuevas actualizaciones de seguridad son para los desarrolladores que usan Visual Studio para crear componentes y controles para aplicaciones móviles que usan ATL para dispositivos inteligentes. Todos los desarrolladores de Visual Studio deben instalar estas nuevas actualizaciones con el fin de que puedan usar Visual Studio para crear componentes y controles que no sean vulnerables a los problemas notificados.

Para obtener más información acerca de este problema conocido, vea el artículo 969706 de Microsoft Knowledge Base.

¿Por qué se ha revisado este boletín el 4 de agosto de 2009?  
Este boletín se ha revisado para comunicar que se ha revisado la sección Problemas conocidos de esta actualización de seguridad del artículo 969706 de Microsoft Knowledge Base asociado y que la lógica de detección para KB973923 y KB973924 se ha revisado para corregir un problema de nueva oferta de paquete. La lógica de detección original determinaba si se tenía que instalar la actualización mediante la confirmación de que la actualización no estaba ya instalada. Los paquetes redistribuibles de Visual C++ (KB973544, KB973551 y KB973552), disponibles en el Centro de descarga de Microsoft, son un superconjunto completo de los paquetes de actualización de ATL correspondientes (KB973923 y KB973924), disponibles únicamente en Microsoft Update. Los clientes que han instalado la versión actualizada del paquete redistribuible de Visual C++ no tienen que instalar los paquetes de actualización de ATL correspondientes. La detección cambia la cuenta para ello y no vuelve a ofrecer los paquetes de actualización de ATL cuando la versión corregida correspondiente de la actualización redistribuible de Visual C++ ya está instalada. También se ha agregado una nueva entrada a esta sección Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad para aclarar la diferencia entre los paquetes redistribuibles de Visual C++ y las demás actualizaciones de Visual Studio. Las empresas que no usan Microsoft Update para la implementación de las actualizaciones y que deben implementar las actualizaciones que se ofrecen en este boletín por otros medios, pueden descargar e implementar los paquetes redistribuibles de Visual C++ completos ya que son un superconjunto completo de los paquetes de actualización de ATL correspondientes.

¿Cuál es la diferencia entre los paquetes redistribuibles de Visual C++ y las demás actualizaciones de Visual Studio?  
Los paquetes redistribuibles de Visual C++ son versiones completas de este producto que cualquier usuario puede redistribuir con sus aplicaciones. Los clientes que necesiten incluir los paquetes redistribuibles de Visual C++ deben seleccionarlos y empaquetarlos o vincularlos a sus instalaciones. Las demás actualizaciones de Visual Studio están disponibles para los clientes que anteriormente han instalado una versión anterior del producto redistribuible de Visual C++ o que han instalado el producto Visual Studio. Estos paquetes de actualización sólo se ofrecen a los clientes a través de Microsoft Update y únicamente si hay una versión anterior de los paquetes redistribuibles de Visual C++ o de Visual Studio.

¿Por qué los números de KB de actualización del Centro de descarga de Microsoft para los paquetes redistribuibles de Visual C++ son distintos de los números de KB de actualización de SMS, SCCM, WSUS y MU?  
Las versiones completas de los paquetes redistribuibles de Visual C++ 2005 y 2008 corregidos (KB973544, KB973551 y KB973552) se enumeran en el Centro de descarga de Microsoft como las nuevas versiones completas de los productos. Las actualizaciones enumeradas en SMS, SCCM, WSUS y MU (KB973923, KB9739234) son actualizaciones únicamente para los clientes que anteriormente han instalado versiones vulnerables de los paquetes redistribuibles de Visual C++. Estas actualizaciones no son las versiones del centro de descarga. Microsoft no recomienda que los clientes redistribuyan ninguna versión que no sea la completa que se puede descargar del Centro de descarga de Microsoft (KB973544, KB973551 y KB973552).

¿Por qué se publicó esta actualización de seguridad fuera de ciclo?  
Esta actualización de seguridad se publica fuera de banda para corregir los problemas indicados en el documento informativo sobre seguridad de Microsoft (973882), "Vulnerabilidades en Microsoft Active Template Library (ATL) podrían permitir la ejecución remota de código".

¿De qué forma se relaciona este boletín con las vulnerabilidades que se describen en el documento informativo sobre seguridad de Microsoft (973882)?
Este boletín corrige las vulnerabilidades en la versión pública de Active Template Library (ATL). Las vulnerabilidades en la versión privada de ATL se describen en el documento informativo sobre seguridad de Microsoft (973882).

Si son vulnerabilidades de ejecución remota de código, ¿por qué el boletín solo se considera moderado?  
Este boletín se considera moderado porque Microsoft Visual Studio, de forma predeterminada, no está afectado por estas vulnerabilidades. Los controles y los componentes creados con la ATL afectada son vulnerables y, si están afectados, tendrán una clasificación de crítica o moderada, según el tipo de vulnerabilidad presente en ellos.

¿Están los usuarios de Visual Studio afectados de forma directa por estas vulnerabilidades?  
No. La existencia de Visual Studio en el sistema no hace que sea vulnerable a este problema.

La actualización asociada a este boletín va dirigida a los desarrolladores que crean componentes y controles con el fin de que puedan usar Visual Studio para crear componentes y controles que no sean vulnerables a los problemas notificados. Sólo los componentes y controles vulnerables desarrollados con una versión de ATL afectada están expuestos a este problema. Los desarrolladores que han creado o redistribuido componentes y controles creados con las versiones afectadas de la biblioteca ATL deben instalar la actualización que se proporciona en este boletín y seguir los pasos facilitados para asegurarse de que sus componentes y controles no contienen las vulnerabilidades descritas en este boletín.

¿Qué versiones de Active Template Library están afectadas por estas vulnerabilidades?
Las versiones 7.0, 7.1, 8.0 y 9.0 están afectadas. Todas las demás versiones no se admiten.

¿Qué versiones de Visual Studio están afectadas?
Vea Software afectado y no afectado, en este boletín de seguridad de Microsoft.

¿Esta actualización de seguridad relacionada con MS09-034 también se publica como una actualización fuera de ciclo?  
Sí. El boletín de seguridad de Microsoft MS09-034, "Actualización de seguridad acumulativa para Internet Explorer", incluye un factor atenuante que ayuda a impedir que los componentes y los controles generados con la ATL vulnerable estén expuestos en Internet Explorer, así como a corregir varias vulnerabilidades no relacionadas. Las nuevas protecciones de defensa en profundidad ofrecidas en MS09-034 incluyen actualizaciones para Internet Explorer 5.01, Internet Explorer 6, Internet Explorer 6 Service Pack 1, Internet Explorer 7 e Internet Explorer 8 que supervisan e impiden que se aprovechen todas las vulnerabilidades ATL públicas y privadas que se conocen, incluidas las vulnerabilidades que podrían permitir pasar por alto la característica de seguridad de bits de interrupción de ActiveX. Estas protecciones se han diseñado para proteger a los clientes de los ataques basados en web.

Si tengo instalada la actualización MS09-034, ¿también necesito instalar esta actualización?  
Esta actualización de seguridad se destina especialmente a desarrolladores de componentes y controles. Los desarrolladores que han creado o redistribuido componentes y controles creados con las versiones afectadas de Active Template Library deben instalar la actualización que se proporciona en este boletín y seguir los pasos facilitados para asegurarse de que sus componentes y controles no contienen las vulnerabilidades descritas en este boletín.

Si tengo instalada la actualización MS09-034, ¿también necesito instalar componentes y controles adicionales distribuidos por Microsoft o terceros que tratan las vulnerabilidades que se describen en el documento informativo sobre seguridad de Microsoft 973882 y el boletín de seguridad de Microsoft MS09-035?  
La solución de Internet Explorer de MS09-034 no corrige las vulnerabilidades subyacentes con determinados componentes y controles desarrollados con Active Template Library. Microsoft recomienda que los desarrolladores sigan las orientaciones que se proporcionan en este boletín para modificar y volver a crear todos los componentes y controles afectados por las vulnerabilidades descritas en este boletín.

¿Dónde están los detalles de información de archivos?  
Consulte en las tablas de referencia de la sección Implementación de la actualización de seguridad la ubicación de los detalles de información de archivo.

¿Qué es ATL?
Active Template Library (ATL) es un conjunto de clases C++ basadas en plantillas que permiten crear objetos COM (modelo de objetos componentes) pequeños y rápidos. Tiene una compatibilidad especial con las características de COM clave, incluidas las implementaciones de existencias, interfaces duales, interfaces de enumerador COM estándar, puntos de conexión, interfaces de extracción y controles ActiveX. Para obtener más información, vea el siguiente artículo de MSDN.

¿Están los componentes y controles de terceros afectados por este problema?
Algunos componentes y controles de terceros pueden estar afectados por este problema si se han cumplido determinadas condiciones durante la generación de los componentes y controles. Microsoft recomienda que los desarrolladores sigan las orientaciones que se proporcionan en este boletín para modificar y volver a crear todos los componentes y controles afectados por las vulnerabilidades descritas en este boletín.

Soy un desarrollador de aplicaciones de terceros y uso ATL en mis componentes y controles. ¿Mis componentes y controles son vulnerables? En caso afirmativo, ¿cómo debo actualizarlos?  
Para obtener instrucciones acerca de cómo determinar si los componentes y los controles son vulnerables y cómo actualizarlos, vea el siguiente artículo de MSDN.

¿Por qué soluciona esta actualización varios problemas de vulnerabilidad de seguridad detectados?  
Esta actualización aborda diversos puntos vulnerables porque las modificaciones necesarias para solucionar estos aspectos están ubicadas en archivos relacionados. En lugar de instalar varias actualizaciones que son prácticamente iguales, los clientes sólo necesitan instalar esta actualización.

Uso una versión anterior del software tratado en este boletín de seguridad. ¿Qué debo hacer?  
El software afectado que se enumera en este boletín se ha probado para determinar las versiones que están afectadas. Otras versiones o ediciones han pasado su ciclo de vida del soporte técnico. Para determinar el ciclo de vida del soporte técnico de su versión de software, visite Ciclo de vida del soporte técnico de Microsoft.

Los clientes que tengan esas versiones o ediciones anteriores del software deberían plantearse la migración a versiones con soporte técnico para evitar la exposición a vulnerabilidades. Para obtener más información acerca del ciclo de vida del soporte técnico de los productos de Windows, visite Ciclo de vida del soporte técnico de Microsoft. Para obtener más información acerca de la ampliación del período de soporte técnico de las actualizaciones de seguridad correspondientes a estas versiones o ediciones de software, visite Servicios de soporte técnico de Microsoft.

Los clientes que requieran soporte técnico para versiones anteriores deben ponerse en contacto con su representante del equipo de cuentas de Microsoft, con su administrador técnico de cuentas o con el representante del socio de Microsoft apropiado para consultar las opciones de soporte personalizado disponibles. Los clientes con un contrato Alliance, Premier o Authorized pueden ponerse en contacto con su oficina de ventas local de Microsoft. Para obtener información de contacto, visite Información en todo el mundo de Microsoft, seleccione el país y, a continuación, haga clic en Ir para ver una lista de números de teléfono. Cuando llame, diga que desea hablar con el administrador de ventas local de soporte técnico Premier. Para obtener más información, consulte las Preguntas más frecuentes del Ciclo de vida del soporte técnico de productos del sistema operativo Windows.

Soy un desarrollador y tengo preguntas respecto a este problema que no se encuentran documentadas en el boletín de seguridad. ¿Qué puedo hacer?
Como parte de nuestra respuesta a este problema, Microsoft proporciona contenido especializado para desarrolladores y vínculos a foros para obtener respuestas a sus preguntas por parte de los recursos de Microsoft y la comunidad de desarrolladores de Microsoft. Para obtener más información, vea el siguiente artículo de MSDN.

En las siguientes clasificaciones de gravedad se supone la máxima repercusión posible de la vulnerabilidad. Para obtener información acerca de la probabilidad, en el plazo de 30 días después de la publicación de este boletín de seguridad, de la explotabilidad de la vulnerabilidad en relación con su clasificación de gravedad y repercusiones de seguridad, vea el índice de explotabilidad en el resumen del boletín de julio. Para obtener más información, vea Índice de explotabilidad de Microsoft.

Existe una vulnerabilidad de ejecución remota de código en Microsoft Active Template Library (ATL) debida a un problema en los encabezados ATL que podrían permitir a un atacante exigir que VariantClear se llamara en una variante VARIANT que no se haya inicializado correctamente. Debido a esto, el atacante puede controlar lo que sucede cuando se llama a VariantClear durante el tratamiento de un error al suministrar un flujo dañado. Esta vulnerabilidad sólo afecta directamente a los sistemas con componentes y controles instalados que se generaron con Visual Studio ATL. Este problema podría permitir a un usuario remoto y sin autenticar llevar a cabo la ejecución remota de código en un sistema afectado. Un atacante podría aprovechar esta vulnerabilidad mediante la creación de una página web especialmente diseñada. Si un usuario visita la página web, la vulnerabilidad podría permitir la ejecución remota de código.

Para ver esta vulnerabilidad como una entrada estándar en la lista de vulnerabilidades y exposiciones comunes, consulte CVE-2009-0901.

Existe una vulnerabilidad de ejecución remota de código en Microsoft Active Template Library (ATL) debida a problemas en los encabezados ATL que tratan la ejecución de un objeto a partir de los flujos de datos. Esta vulnerabilidad sólo afecta directamente a los sistemas con componentes y controles instalados que se generaron con Visual Studio ATL. Para los componentes y los controles creados con ATL, el uso no seguro de OleLoadFromStream podría permitir la ejecución de objetos arbitrarios que podrían omitir la directiva de seguridad relacionada, como los bits de interrupción desde Internet Explorer. Este problema podría permitir a un usuario remoto y sin autenticar llevar a cabo la ejecución remota de código en un sistema afectado. Un atacante podría aprovechar esta vulnerabilidad mediante la creación de una página web especialmente diseñada. Si un usuario visita la página web, la vulnerabilidad podría permitir la ejecución remota de código.

Para ver esta vulnerabilidad como una entrada estándar en la lista de vulnerabilidades y exposiciones comunes, consulte CVE-2009-2493.

Existe una vulnerabilidad de divulgación de información en Microsoft Active Template Library (ATL) que podría permitir la lectura de una cadena sin un carácter nulo de terminación. Un atacante podría manipular esta cadena para leer datos adicionales más allá del final de la cadena y, por lo tanto, divulgar información de la memoria. Esta vulnerabilidad sólo afecta directamente a los sistemas con componentes y controles instalados que se generaron con Visual Studio ATL. Un atacante que aprovechara correctamente esta vulnerabilidad podría ejecutar un componente o control malintencionado que divulgaría información, reenviaría los datos de usuario a terceros o tendría acceso a cualquier dato en los sistemas afectados a los que pueda obtener acceso el usuario que ha iniciado la sesión. Es importante mencionar que la vulnerabilidad no permitirá al atacante ejecutar código o elevar directamente sus derechos de usuario, pero podría servir para producir información útil que pudiera usarse para tratar de sacar más provecho del sistema afectado.

Para ver esta vulnerabilidad como una entrada estándar en la lista de vulnerabilidades y exposiciones comunes, consulte CVE-2009-2495.

Los siguientes consejos para la detección e implementación proporcionan información acerca de cómo asegurarse de que las versiones de Visual Studio de este boletín de seguridad se han actualizado con encabezados de ATL que corrigen las vulnerabilidades descritas anteriormente.

Administre el software y las actualizaciones de seguridad que necesite implementar en servidores, equipos de escritorio y sistemas móviles en su organización. Para obtener más información visite el Centro de administración de actualizaciones de TechNet. El sitio Web Microsoft TechNet Security proporciona información adicional acerca de la seguridad de los productos de Microsoft.

Las actualizaciones de seguridad están disponibles en Microsoft Update y Windows Update. También hay actualizaciones de seguridad disponibles en el Centro de descarga de Microsoft. Si realiza una búsqueda de las palabras clave “actualización de seguridad” podrá encontrarlas fácilmente.

Finalmente, las actualizaciones de seguridad se pueden descargar del Catálogo de Microsoft Update. El Catálogo de Microsoft Update ofrece un catálogo en el que se pueden realizar búsquedas del contenido que está disponible a través de Windows Update y Microsoft Update, incluidas las actualizaciones de seguridad, los controladores y los Service Packs. Al realizar la búsqueda con el número del boletín de seguridad (como "MS07-036"), puede agregar todas las actualizaciones aplicables a la cesta (incluidos diferentes idiomas para una actualización) y descargarlas en la carpeta que elija. Para obtener más información sobre el Catálogo de Microsoft Update, vea las preguntas más frecuentes del Catálogo de Microsoft Update.

Nota A partir del 1 de agosto de 2009, Microsoft dejará de ofrecer soporte técnico a Office Update y Office Update Inventory Tool. Para seguir obteniendo las actualizaciones más recientes para los productos de Microsoft, use Microsoft Update. Para obtener más información, vea Acerca de Microsoft Office Update: Preguntas más frecuentes.

Consejos para la detección y la implementación

Microsoft ofrece orientación para la detección y la implementación de las actualizaciones de seguridad. Dicha orientación contiene recomendaciones e información que pueden ayudar a los profesionales de TI a comprender el modo de usar varias herramientas para la detección y la implementación de las actualizaciones de seguridad. Para obtener más información, vea el artículo 961747 de Microsoft Knowledge Base.

Microsoft Baseline Security Analyzer

Esta herramienta permite a los administradores examinar sistemas remotos y locales para detectar las actualizaciones de seguridad que faltan así como las configuraciones de seguridad incorrectas más comunes. Para obtener más información acerca de MBSA, visite Microsoft Baseline Security Analyzer.

La tabla siguiente proporciona el resumen de detección MBSA correspondiente a esta actualización de seguridad.

Para obtener más información acerca de MBSA 2.1, consulte las preguntas más frecuentes de MBSA 2.1.

Windows Server Update Services

Windows Server Update Services (WSUS) permite a los administradores implementar las actualizaciones críticas y de seguridad más recientes en sistemas operativos Windows 2000 y versiones posteriores, Office XP y versiones posteriores, Exchange Server 2003 y SQL Server 2000. Para obtener más información acerca de cómo implementar esta actualización de seguridad con Windows Server Update Services, visite el sitio web de Windows Server Update Services.

Systems Management Server

En la tabla siguiente se proporciona el resumen de detección e implementación de SMS correspondiente a esta actualización de seguridad.

En cuanto a SMS 2.0 y SMS 2003, SMS puede usar SMS SUS Feature Pack (SUSFP), que incluye la herramienta Security Update Inventory Tool (SUIT), para detectar actualizaciones de seguridad. Visite también Descargas para Systems Management Server 2.0.

En cuanto a SMS 2003, SMS puede utilizar la herramienta SMS 2003 Inventory Tool for Microsoft Updates (ITMU) para detectar actualizaciones de seguridad proporcionadas por Microsoft Update y compatibles con Windows Server Update Services. Para obtener más información acerca de SMS 2003 ITMU, visite SMS 2003 Inventory Tool for Microsoft Updates. Además, SMS 2003 puede usar Microsoft Office Inventory Tool con el fin de detectar las actualizaciones requeridas para las aplicaciones de Microsoft Office. Para obtener más información acerca de Office Inventory Tool y otras herramientas de análisis, visite SMS 2003 Software Update Scanning Tools. Visite también Descargas para Systems Management Server 2003.

System Center Configuration Manager 2007 usa WSUS 3.0 para la detección de actualizaciones. Para obtener más información acerca de la administración de actualizaciones de software de Configuration Manager 2007, visite System Center Configuration Manager 2007.

Para obtener más información acerca de SMS, visite el sitio web de SMS.

Para obtener información más detallada, consulte el artículo 910723 de Microsoft Knowledge Base: Lista de resumen de los artículos mensuales de consejos para la detección y la implementación.

Evaluador de compatibilidad de aplicaciones y kit de herramientas de compatibilidad de aplicaciones

Las actualizaciones normalmente escriben en los mismos archivos y configuración del Registro necesarios para que se ejecuten las aplicaciones. Esto puede desencadenar incompatibilidades y aumentar el tiempo que dura la implementación de actualizaciones de seguridad. Puede optimizar las pruebas y la validación de las actualizaciones de Windows en las aplicaciones instaladas con los componentes del Evaluador de compatibilidad de actualizaciones incluidos con el Kit de herramientas de compatibilidad de aplicaciones 5.0.

El kit de herramientas de compatibilidad de aplicaciones (ACT) contiene las herramientas y la documentación necesarias para evaluar y mitigar los problemas de compatibilidad de aplicaciones antes de implementar Microsoft Windows Vista, una actualización de Windows, una actualización de seguridad de Microsoft o una nueva versión de Windows Internet Explorer en su entorno.

Software afectado

Para obtener información sobre la actualización de seguridad específica para su software afectado, haga clic en el vínculo apropiado: